隐私政策

更新日期：2026-09-10

Secure Notes 的核心原则是本地优先、零知识：你的库密码、根密钥、文件名和笔记正文只在你自己的设备上处理。服务端与同步介质永远只接收加密后的对象。

1. 我们处理什么

• 本机数据（不离开你的设备）：工作区路径、显示名称、同步目标映射和最近使用时间，存放在本机 SQLite 索引中；库清单、密文仓库和（锁定期间）笔记目录里的 .secure-notes-locked 占位文件也都只在本机。SQLite 索引不含任何密码或根密钥；占位文件含应用数据目录路径与库 ID。
• 账户数据（仅当你使用云端账户）：邮箱、设备名称、订阅状态、TOTP 启用状态与工作区数量等账户/订阅元数据。
• 密文数据：你主动同步的加密对象、加密提交，以及必要的协作元数据（vaultId、HEAD、租约）。密文会暴露文件数量、单个文件体积与快照次数（随机对象 ID 只隐藏文件名和路径）。

2. 会话与本地存储

• 桌面端云端访问令牌仅保存在内存中，不会写入普通配置文件。
• 管理后台的登录令牌保存在当前标签页的会话存储（sessionStorage），关闭标签页即清除。
• 你确认过的云端 API 地址会保存在本机 localStorage（键名 secure-notes-cloud-endpoint），用于下次打开时继续使用同一地址。这一步在所有环境（包括生产构建）都会发生，不是只在开发环境；除地址字符串外不写入任何账户凭据或笔记内容。生产构建不允许在界面里修改该地址。

3. 第三方服务

订阅结算（Stripe）与事务邮件当前默认关闭。未来若启用，只会向对应服务传递完成交易或投递邮件所需的最少信息，绝不包含任何笔记内容。邮件相关的入口（邮箱验证重发、忘记密码/重置）当前也保持隐藏。

4. 数据保留与删除

• 本机密文不在笔记目录里：密文仓库与 vault.json 存放在各平台的应用数据目录中（macOS：~/Library/Application Support/com.securenotes.desktop/vaults/<目录名>/；Windows：%LOCALAPPDATA%\\Secure Notes\\vaults\\<目录名>\\；Linux：$XDG_DATA_HOME/secure-notes/vaults/<目录名>/）。删除笔记目录不会删除任何密文；要彻底移除一个库的密文，需要人工删除上面那个目录。应用内的“移除”只从本机清单里去掉该工作区的登记项，不会删除密文仓库，因此移除后仍可按原目录重新连回。
• 应用内的“备份密文库”只保留最近 5 份密文备份，更早的会被自动删除；这些备份同样位于本机。
• 云端账户数据当前没有自助删除接口：后端只提供登录、会话撤销和密文对象读写接口，没有删除账户、工作区或对象的 API。也就是说，目前无法通过应用或网页删除云端账户及其密文对象；这类请求只能由运维人员在服务器上手工处理（数据库与对象记录）。如需删除，请联系管理员，我们会人工执行并回复确认。

5. 安全措施

• 密码经 Argon2id 派生，文件与提交使用 AES-256-GCM 认证加密。
• 刷新令牌只保存摘要并轮换；设备撤销、密码重置与二次验证变更可立即生效。
• 管理后台与普通账户隔离，并强制管理员 TOTP。

6. 联系与变更

如需咨询隐私问题、导出或删除云端数据，请联系管理员。本政策如有更新，将在本页公布。